主なポイント
- エンドポイント管理とブラウザ管理はどちらも不可欠です。これらは同一の攻撃対象領域における異なるレイヤーを保護するものであるため、どちらか一方に不備があると、もう一方の有効性も損なわれてしまいます。
- エンドポイント管理は業務開始時のデバイスの信頼性を検証し、ブラウザ管理は業務が進行中にその信頼性がどのように扱われるのかを制御します。
- エンタープライズのための真のセキュリティは、これらを個別の独立したツールとして扱うのではなく両者を連携させることによって実現されます。
IT運用においてエンドポイント管理とブラウザ管理は競合するものとして捉えられがちですが、実際にはその両方が必要であり、この2つを比較することはできません。
デバイスを保護しても、それがブラウザ内で起こっていることまで自動的に保護されるわけではありません。また、基盤となるエンドポイントが信頼できない状態ではブラウザを保護することも困難となります。エンドポイント管理とブラウザ管理は、それぞれ異なる一方で、相互に関連する問題を解決します。
エンドポイント管理はIT部門がデバイスやオペレーティングシステムを制御できるようにし、ブラウザ管理はIT部門がブラウザでの体験（エクスペリエンス）やウェブ上でのアクティビティーを制御できるようにするからです。
エンドポイント管理とは
エンドポイント管理とは、ノートPCやデスクトップPC、モバイルデバイス、仮想エンドポイントなど、企業のシステムに接続されるすべてのデバイスを管理して保護する取り組みを指します。
エンドポイント管理によってIT部門は、どのようなデバイスが存在して現在どのような状態にあり、ポリシー要件を満たしているかどうかを把握できる「信頼できる唯一の情報源」を手にできます。
パッチ適用やソフトウェアの配布にとどまらず、エンドポイント管理には、プロビジョニングから廃棄に至るまでのライフサイクル管理やコンプライアンスから逸脱したデバイスに対する自動修復、分散した環境で働くチームのためのリモートトラブルシューティングなどが含まれます。
ブラウザ管理とは
ブラウザ管理とは、ユーザーが業務を行う際のブラウザの挙動を制御するものです。単にデバイスが健全な状態にあるかどうかだけでなく、ブラウザのセッション内で何が起こっているのかを管理します。
これには承認されたブラウザやバージョンの使用の強制や拡張機能の制限、個人アカウントへの同期の禁止から、アップロード、ダウンロード、サイトへのアクセス許可の制御などが含まれます。
特に、ユーザーがSaaSアプリや社内ポータル、クラウドストレージなどを通じて機密データにアクセスする際、ブラウザ管理が極めて重要です。なぜなら、こうした環境はデータ漏洩や「シャドーIT（IT部門が把握していないIT機器やクラウドサービスなどを社員が独自の判断で業務に使っている状態）」が発生しやすく、エンドポイントでのアクティビティーを監視するツールだけ検出できないケースが多いためです。
エンドポイント管理とブラウザ管理
この2つに互換性はなく、異なるレイヤーで動作して異なる質問に答えます。エンドポイント管理はデバイスの信頼性を確認し、そのデバイスが登録されているかやパッチが適用されているか、暗号化されているか、コンプライアンスに準拠しているかを確認します。
一方、ブラウザ管理は、どのブラウザや拡張機能、サイトを利用し、どのような操作が行われているかなど、ユーザーが作業を開始した後に何が起きているのかを確認します。
これらを同一視すると見落としが生じてしまいます。たとえば、完全にコンプライアンスに準拠したデバイスでも、管理されていないブラウザプロファイルを介して情報が漏洩する可能性があり、厳格なブラウザポリシーを適用しても、その下にある古いパッチ未適用のシステムを修復することはできません。
企業はどちらか一方を他方の代わりにするのではなく、両方の制御プレーンが連携して動作する必要があります。
エンドポイント管理の強み
エンドポイント管理はデバイス自体に問題がある場合に最も有効です。例を挙げると、インベントリーの正確性、パッチのコンプライアンス、ソフトウェアの標準化、暗号化の強制、大規模なリモート修復などです。
ブラウザセッションが開始される前にデバイスが安全に使用できることを証明するレイヤーであるため、ブラウザポリシーの基盤となる信頼性を確立します。
エンドポイント管理がなければ、IT部門はコンプライアンスに準拠したノートPCと、侵害された、あるいは古いノートPCを確実に区別することができず、セキュリティに関するその後のあらゆる判断が不安定となってしまいます。
ブラウザ管理の強み
ブラウザ管理はセッション開始後のユーザーの行動を制御する上で最も有用です。 管理の例としては、リスクの高い拡張機能の制限、同期とプロファイルの管理、ダウンロードの制限、SaaS利用状況の監視などが挙げられます。
ブラウザ管理は、たとえばWebアプリを介した「シャドーAI（IT部門が把握していない状態で、従業員が独自の判断でAIツールを業務に利用すること）」の使用や、承認されたツールから個人利用のツールへのデータコピーなど、エンドポイント管理ツールでは把握できないものを検出できます。また、ログイン時だけでなく、データへのアクセス時にコンプライアンスを強制する上でも非常に有効です。
エンドポイント管理とブラウザ管理を活用したフレームワーク
エンドポイント管理やブラウザ管理は単独では十分ではありません。エンドポイント管理ツールはデバイスにパッチが適用され、暗号化されていることを確認できますが、ブラウザセッションの内部で何が起きているかまでは把握できません。
一方、ブラウザ管理ツールは厳格なセッションポリシーを適用できますが、OSにパッチが適用されていなかったり、デバイス自体が侵害されていたりするような根本的な問題には対処できません。
最も強固なモデルとは、これら2つを連携させることです。デバイスの態勢をブラウザのアクセス判断に反映させ、ブラウザが検出した事象を基に修復措置を講じ、コンプライアンスレポートには双方の情報を統合します。
ファイナンスアプリを例にとると、「デバイスがコンプライアンス要件を満たし、かつブラウザもポリシーの要件に合致している場合にのみ完全なアクセスを許可する」といった運用が可能になります。
エンドポイント管理とブラウザ管理の連携
エンドポイント管理とブラウザ管理は、セキュリティ上の同一の問題において異なる側面を解決するものです。前者はデバイス層（インベントリー、パッチ適用、ソフトウェア、構成、修復）を保護し、後者はブラウザ層（設定、拡張機能、プロファイル、同期、ダウンロード、ブラウザ経由のデータ転送）を保護します。
エンドポイント管理はデバイスが安全に使用できる状態であることを検証し、ブラウザ管理はユーザーがWebアプリケーションにアクセスした後に実行できる操作を制御する役割を担います。現代の業務は信頼できるデバイスと適切に制御されたブラウザセッションに依存しているため、企業には両方が不可欠なのです。
関連記事：
